Что такое режимы разрешений у агентов для программирования?

Переключаются клавишами Shift+Tab; чтобы стартовать в нужном, используйте claude --permission-mode, а режим по умолчанию задаётся через permissions.defaultMode в файле настроек.

• default (он же Manual): спрашивает перед большинством правок, shell-команд и сетевых действий.
• acceptEdits: одобряет правки файлов и обычные файловые команды вроде mkdir, mv и cp внутри рабочей папки.
• plan: Claude изучает код и предлагает план, но не может менять исходные файлы, пока вы план не одобрите.
• auto: модель-классификатор проверяет каждое действие вместо вас, поэтому большинство выполняется без вопросов; после повторных блокировок режим снова начинает спрашивать. Свежие версии запускают интерактивные сессии в auto, где он доступен.
• dontAsk: отклоняет всё, что иначе вызвало бы вопрос; для CI и закрытых скриптов.
• bypassPermissions (флаг --dangerously-skip-permissions): пропускает вопросы и проверки безопасности; только для изолированных контейнеров или виртуальных машин.

Codex разделяет вопрос на два: когда спрашивать вас (политика одобрений) и до чего команды могут дотянуться технически (песочница, которую обеспечивает ОС: Seatbelt в macOS, bwrap с seccomp в Linux).

• Режимы песочницы: read-only, workspace-write (правки внутри рабочего пространства) и danger-full-access. Доступ к сети по умолчанию выключен.
• Политики одобрений: on-request спрашивает, когда агенту нужно выйти за пределы песочницы; never не спрашивает вовсе.
• Предустановку Auto (workspace-write с on-request) Codex использует в папке под контролем версий; /permissions меняет режим во время сессии.
• approvals_reviewer = "auto_review" отправляет подходящие запросы на одобрение не вам, а агенту-ревьюеру.
• --yolo, сокращение от --dangerously-bypass-approvals-and-sandbox, отключает и то и другое; OpenAI это не рекомендует.

Агент, оставленный один на ночь или в CI, не может ждать клика: вопрос, на который никто не ответил, останавливает его на часы, а отключение всех проверок позволяет одной неудачной команде нанести реальный ущерб. Обычное решение — убрать вопросы и держать защиту в другом месте.

• Запускайте агента в песочнице, контейнере или ВМ, которая видит только проект, а не ваши SSH-ключи и домашнюю папку.
• Заранее одобряйте безопасные команды правилами allow и запрещайте разрушительные, например git push, rm -rf и деплой.
• Пусть агент коммитит в ветку, но не пушит, а утром вы её проверите.
• В CI используйте неинтерактивные варианты: dontAsk в Claude Code или codex exec с явно заданной песочницей.

Берите plan, чтобы договориться о подходе перед крупным изменением, default или acceptEdits, пока вы за клавиатурой, и auto или предустановку с песочницей для долгих задач, которые вы проверяете лишь время от времени. Варианты с обходом оставьте для одноразовых окружений. Наше руководство по ночному запуску Claude Code разбирает полную настройку.